Para organizaciones que contratan a altos directivos de seguridad sin restricciones geográficas
Un alto responsable de seguridad que trabaja a distancia, y lo lleva haciendo desde hace años
El liderazgo en materia de seguridad ha sido un trabajo a distancia desde hace más tiempo que la mayoría de los demás. Los incidentes no se producen en la oficina, los centros de operaciones funcionan las 24 horas del día en diferentes zonas horarias, y las personas con las que se necesita estar en contacto a las 3 de la madrugada se encuentran dondequiera que estén. He dirigido las tareas de seguridad de organizaciones con las que rara vez compartía el mismo edificio, y he aprendido qué condiciones deben darse para que eso funcione y qué aspectos deben abordarse en persona en cualquier caso.
Lo que se puede hacer a distancia y para qué acudo a usted
Casi todo el trabajo de este puesto se realiza a distancia: las operaciones, el centro de gestión de incidentes, las decisiones sobre proveedores y herramientas, la contratación, las métricas, las sesiones informativas individuales y los informes escritos. Las partes en las que no se trabaja a distancia son aquellas en las que se forja o se pone a prueba la confianza: las primeras semanas con un nuevo equipo, la reunión del consejo de administración tras un incidente grave, la visita a una planta o a un centro de datos, la conversación difícil con un ejecutivo que se resiste a las medidas de contención. Las planifico y viajo para ellas. El acuerdo inicial establece la frecuencia y el momento.
Cómo dirijo una función de seguridad distribuida
Decisiones por escrito, para que nadie tenga que recordar lo que se dijo en una llamada. Una cadencia en la que el equipo pueda confiar, con un horario fijo en el que estoy disponible para cualquier cosa. Derechos de decisión explícitos, de modo que la persona que detecte un problema a medianoche sepa qué está autorizada a hacer sin despertarme, y sepa que prefiero que me despierten a enterarme más tarde. Los simulacros se realizan de forma remota, porque el incidente real también lo será. Y una operación organizada de tal forma que pueda ver lo que está sucediendo sin tener que recorrer las instalaciones, lo cual es una buena práctica, independientemente de si el responsable se encuentra a distancia o no.
Los límites de la honestidad
El liderazgo a distancia fracasa en aquellas organizaciones que equiparan la presencia con el compromiso, o en las que la cultura hace que las decisiones se tomen en los pasillos. También fracasa si el líder considera el trabajo a distancia como una excusa para la ausencia. Me gustaría comprender cómo toma realmente las decisiones su equipo directivo antes de que cualquiera de nosotros se comprometa.
De dónde procede esto
Treinta años liderando el ámbito de la seguridad, unos veinte de ellos con experiencia práctica en respuesta a incidentes y operaciones de seguridad, para organizaciones que van desde startups hasta gobiernos, en gran parte a distancia y en diferentes zonas horarias. La mayor parte de los detalles están sujetos a un acuerdo de confidencialidad (NDA). Lo que puedo decir aquí, lo digo; del resto hablamos en confianza.
Lo que he escrito al respecto.
Lea esto antes de que hablemos, si lo desea. Se trata de la versión extensa del argumento.
- Investigación: ¿Cómo saber si su SOC es realmente eficaz?
- Investigación: ¿Cómo puede un consejo de administración verificar que el riesgo cibernético está mejorando?
- Resumen: ¿Quién se encarga de gestionar un incidente cuando los departamentos de TI y de seguridad no se ponen de acuerdo?
- Resumen: Lo que debe hacer un director general durante la primera hora tras una violación de la seguridad
Trabajos relacionados.
Otras formas en las que abordo estos mismos problemas.
- Contráteme a mí como CISO, ya que he dirigido la respuesta, no solo he informado sobre ella: un responsable de seguridad que haya gestionado incidentes de seguridad, haya creado operaciones y haya realizado sesiones informativas para los consejos de administración. A continuación, le expongo lo que aportaría al puesto y en qué aspectos no encajaría.
- Un CISO externo a tiempo parcial que establece las normas y toma las decisiones difíciles: liderazgo sénior en materia de seguridad a tiempo parcial: la dirección, las decisiones difíciles, el consejo de administración y los cuestionarios, mientras una persona competente de su equipo se encarga de la gestión diaria.
- Un asesor para el directivo que debe tomar la decisión, no para el equipo que debe llevarla a caboJuicio independiente para la persona que firma: qué preguntar, en qué creer, qué decidir y qué comunicar al consejo de administración.
- Contráteme como director de ciberseguridad que desarrolle la operación, no la presentación sobre la misma. Liderazgo a nivel directivo para operaciones de seguridad, ingeniería o programas, por parte de alguien que haya realizado el trabajo que lleva a cabo el equipo.
Analice un puesto directivo.
Háblenme del puesto, de la organización y de los objetivos que debe alcanzar durante el primer año. Le diré rápidamente si es una opción adecuada.
Gran parte de lo que he hecho no puede describirse en público, y he mantenido una relación muy estrecha con los acuerdos de confidencialidad durante la mayor parte de mi vida adulta. Lo que puedo decir aquí, lo digo; del resto hablamos en confianza.
- Organizaciones que contratan a un CISO o a un director de seguridad cuyo mejor candidato no reside a una distancia que permita desplazarse diariamente al trabajo.
- Empresas distribuidas cuya función de seguridad ya se gestiona de forma remota y que necesitan un responsable que sepa cómo dirigirla.
- Los consejos de administración y las empresas de selección de personal están valorando la posibilidad de que un puesto directivo de seguridad se desempeñe de forma remota.